Microsoft Security Bulletin MS16-035 – Wichtig

Sicherheitsupdate für .NET Framework zur Adressieren der Sicherheitsfeatureumgehung (3141780)

Veröffentlicht: 8. März 2016 | Aktualisiert: 8. November 2016

Version: 2.6

Kurzfassung

Dieses Sicherheitsupdate behebt eine Sicherheitsanfälligkeit in Microsoft .NET Framework. Die Umgehung von Sicherheitsfeatures ist in einer .NET Framework-Komponente vorhanden, die bestimmte Elemente eines signierten XML-Dokuments nicht ordnungsgemäß überprüft.

Dieses Sicherheitsupdate ist für Microsoft .NET Framework 2.0 Service Pack 2, Microsoft .NET Framework 3.0 Service Pack 2, Microsoft .NET Framework 3.5, Microsoft .NET Framework 3.5.1, Microsoft .NET Framework 4.5.2, Microsoft .NET Framework 4.6 und Microsoft .NET Framework 4.6.1 für betroffene Versionen von Microsoft Windows wichtig. Weitere Informationen finden Sie im Abschnitt "Betroffene Software" .

Das Update behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie .NET Framework XML-Dokumente überprüft. Weitere Informationen zur Sicherheitsanfälligkeit finden Sie im Abschnitt "Sicherheitsrisikeninformationen ".

Weitere Informationen zu diesem Update finden Sie im Microsoft Knowledge Base-Artikel 3141780.

Schweregradbewertungen betroffener Software und Sicherheitsrisiken

Die folgenden Softwareversionen oder Editionen sind betroffen. Versionen oder Editionen, die nicht aufgeführt sind, sind entweder über ihren Supportlebenszyklus oder nicht betroffen. Informationen zum Ermitteln des Supportlebenszyklus für Ihre Softwareversion oder -edition finden Sie unter Microsoft-Support Lifecycle.

Die für jede betroffene Software angegebenen Schweregradbewertungen gehen von der potenziellen maximalen Auswirkung der Sicherheitsanfälligkeit aus. Informationen zur Wahrscheinlichkeit, dass innerhalb von 30 Tagen nach der Veröffentlichung dieses Sicherheitsbulletins die Ausnutzbarkeit der Sicherheitsanfälligkeit in Bezug auf die Schweregradbewertung und die Sicherheitsauswirkungen besteht, lesen Sie bitte den Exploitability Index in der Bulletinzusammenfassung im März.

^[1]Informationen zu Änderungen der Unterstützung für .NET Framework 4.x finden Sie unter Internet Explorer und .NET Framework 4.x-Supportankündigungen.

^[2]Windows RT 8.1-Updates sind nur über Windows Update verfügbar.

^[3]Windows 10-Updates sind kumulativ. Zusätzlich zu nicht sicherheitsrelevanten Updates enthalten sie auch alle Sicherheitsupdates für alle windows 10-betroffenen Sicherheitsrisiken, die mit der monatlichen Sicherheitsversion bereitgestellt werden. Die Updates sind über den Microsoft Update-Katalog verfügbar.

Hinweis: Windows Server Technical Preview 4 ist betroffen. Kunden, die dieses Betriebssystem ausführen, werden aufgefordert, das Update anzuwenden, das über Windows Update verfügbar ist.

Häufig gestellte Fragen zum Update

Warum wurde dieses Bulletin am 10. Mai 2016 erneut veröffentlicht?
Um bestimmte Druckprobleme zu beheben, haben Kunden möglicherweise nach der Installation der Sicherheitsupdates für Microsoft .NET Framework 4.5.2 oder Microsoft .NET Framework 4.6/4.6.1 die Updates für diese Versionen von Microsoft .NET Framework wie folgt erneut veröffentlicht:

• Die Updates für Microsoft .NET Framework 4.5.2 wurden nur für LDR-Kunden (Limited Distribution Release) erneut veröffentlicht.
• Die Updates für Microsoft .NET Framework 4.6/4.6.1 wurden für alle Kunden erneut veröffentlicht.

Bitte beachten Sie, dass diese Neuversionen über Windows Update und den Microsoft Update-Katalog verfügbar sind.

Gewusst wie bestimmen, welche Version von Microsoft .NET Framework installiert ist?
Sie können mehrere Versionen von .NET Framework auf einem System installieren und ausführen, und Sie können die Versionen in beliebiger Reihenfolge installieren. Es gibt mehrere Möglichkeiten, um zu bestimmen, welche Versionen von .NET Framework derzeit installiert sind. Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel 318785.

Für einige der betroffenen Software stehen mehrere Updatepakete zur Verfügung. Muss ich alle updates installieren, die in der Tabelle "Betroffene Software" für die Software aufgeführt sind?
Ja. Kunden sollten alle updates anwenden, die für die auf ihren Systemen installierte Software angeboten werden.

Muss ich diese Sicherheitsupdates in einer bestimmten Sequenz installieren?
Nein Mehrere Updates für ein bestimmtes System können in einer beliebigen Reihenfolge angewendet werden.

Informationen zu Sicherheitsrisiken

.NET XML Validation Security Feature Bypass – CVE-2016-0132

Eine Sicherheitsanfälligkeit bei der Umgehung von Sicherheitsfeatures ist in einer .NET Framework-Komponente vorhanden, die bestimmte Elemente eines signierten XML-Dokuments nicht ordnungsgemäß überprüft. Ein Angreifer, der die Sicherheitsanfälligkeit erfolgreich ausgenutzt hat, könnte den Inhalt einer XML-Datei ändern, ohne die der Datei zugeordnete Signatur ungültig zu machen. Wenn eine .NET-Anwendung auf die Signatur basiert, die nicht böswillig ist, kann das Verhalten der Anwendung unvorhersehbar werden. In benutzerdefinierten Anwendungen hängt die Sicherheitswirkung vom jeweiligen Verwendungsszenario ab.

In einem .NET-Anwendungsangriffsszenario könnte ein Angreifer den Inhalt einer XML-Datei ändern, ohne die der Datei zugeordnete Signatur ungültig zu machen. Das Update behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie .NET Framework XML-Dokumente überprüft.

Die folgende Tabelle enthält Links zum Standardeintrag für jede Sicherheitsanfälligkeit in der Liste allgemeiner Sicherheitsrisiken und Expositionen:

Mildernde Faktoren

Microsoft hat keine mildernden Faktoren für diese Sicherheitsanfälligkeit identifiziert.

Problemumgehungen

Microsoft hat keine Problemumgehungen für diese Sicherheitsanfälligkeit identifiziert.

Bereitstellung von Sicherheitsupdates

Informationen zur Bereitstellung von Sicherheitsupdates finden Sie im Microsoft Knowledge Base-Artikel, auf den in der Zusammenfassung der Geschäftsleitung verwiesen wird.

Danksagungen

Microsoft erkennt die Bemühungen derJenigen in der Sicherheitscommunity, die uns dabei helfen, Kunden durch koordinierte Offenlegung von Sicherheitsrisiken zu schützen. Weitere Informationen finden Sie unter "Bestätigungen ".

Haftungsausschluss

Die in der Microsoft Knowledge Base bereitgestellten Informationen werden ohne Jegliche Garantie bereitgestellt. Microsoft lehnt alle Gewährleistungen ab, entweder ausdrücklich oder impliziert, einschließlich der Gewährleistungen der Händlerbarkeit und Eignung für einen bestimmten Zweck. In keinem Fall haftet die Microsoft Corporation oder seine Lieferanten für jegliche Schäden, einschließlich direkter, indirekter, zufälliger, Folgeschäden, Verlust von Geschäftsgewinnen oder sonderschäden, auch wenn die Microsoft Corporation oder ihre Lieferanten über die Möglichkeit solcher Schäden informiert wurden. Einige Staaten lassen den Ausschluss oder die Haftungsbeschränkung für Folge- oder Nebenschäden nicht zu, sodass die vorstehende Einschränkung möglicherweise nicht gilt.

Revisionen

• V1.0 (8. März 2016): Bulletin veröffentlicht.
• V2.0 (10. Mai 2016): Überarbeitetes Bulletin, um die Sicherheitsupdates für Microsoft .NET Framework 4.5.2 und Microsoft .NET Framework 4.6/4.6.1 ankündigen zu können, um Probleme mit bestimmten Druckszenarien zu beheben. Die Wiederveröffentlichungen sind über Windows Update und den Microsoft Update-Katalog verfügbar. Beachten Sie, dass diese Erneute Version nur für LDR-Kunden (Limited Distribution Release) gilt. DDR-Kunden (General Distribution Release) sind nicht betroffen. Weitere Informationen zu den spezifischen Sicherheitsupdates, die erneut veröffentlicht wurden, finden Sie im Abschnitt "Update FAQs" dieses Bulletins (MS16-035).
• V2.1 (18. Mai 2016): Überarbeitetes Bulletin zur Klärung der Verteilergruppe für microsoft .NET Framework 4.5.2 und Microsoft .NET Framework 4.6/4.6.1 Sicherheitsupdates, die am 10. Mai 2016 erneut veröffentlicht wurden, wie folgt: Die Sicherheitsupdates für Microsoft .NET Framework 4.5.2 wurden nur für Kunden mit eingeschränkter Verteilungsfreigabe (Limited Distribution Release, LDR) erneut veröffentlicht. Die Sicherheitsupdates für Microsoft .NET Framework 4.6/4.6.1 wurden für alle Kunden erneut veröffentlicht.
• V2.2 (13. Juli 2016): Überarbeitetes Bulletin, um Kunden darüber zu informieren, dass das 3135996 Update aktualisiert wurde. Dies ist nur eine Informationsbenachrichtigung. Kunden, die das Update bereits erfolgreich installiert haben, müssen keine weiteren Maßnahmen ergreifen.
• V2.3 (11. August 2016): Überarbeitetes Bulletin, um eine Erkennungsänderung anzukündigen, um ein Angebotsproblem für 3135996 zu beheben. Dies ist nur eine Erkennungsänderung. Es wurden keine Änderungen an den Updatedateien vorgenommen. Kunden, die das Update bereits erfolgreich installiert haben, müssen keine Maßnahmen ergreifen.
• V2.4 (11. August 2016): Klärung des Rev note v2.3 – Eine neuere Version des Updates 3135996 wurde allen Kunden, nicht nur Limited Distribution Release (LDR)-Kunden zur Verfügung gestellt. Einige Kunden wurden diese neueste Version möglicherweise nicht zwischen dem 13.07.2016 und dem 11.08.2016 angeboten. Die letzte Version des Updates 3135996 veröffentlicht am 11.08.2016 bringt Kunden in einen aktuellen Zustand.
• V2.5 (11. Oktober 2016): Überarbeitetes Bulletin zur Ankündigung der Sicherheitsupdates 3135994 und 3135995 für Microsoft .NET Framework 4.5.2 unter Windows Server 2012, Windows 8.1 und Windows Server 2012 R2 wurden ausschließlich im WSUS-Kanal erneut veröffentlicht. Diese Erneute Version gilt nicht für Windows Update- oder Microsoft Update-Katalogkunden. Diese Erneute Version behebt ein Angebotsproblem, das verhinderte, dass bestimmte DDR-Kunden in WSUS-Umgebungen diese Updates erhalten, wenn sie die Funktion "Updates automatisch ablehnen, wenn eine neue Revision sie abläuft" aktiviert haben. Es gibt keine Änderungen an der Dateinutzlast. Wenn Kunden bereits Updates 3135994 und 3135995 erfolgreich bereitgestellt haben, müssen sie keine Maßnahmen ergreifen.
• V2.6 (8. November 2016): Überarbeitetes Bulletin, um ankündigen zu können, dass eine Erkennungsänderung vorgenommen wurde, um .NET Framework 4.6.1 Hotfixrollup-Kunden zu berücksichtigen, die keine ordnungsgemäßen Sicherheitsupdates für .NET Framework 4.6.1 angeboten haben.

Seite generiert 2016-11-28 12:58-08:00.